L'attacco informatico che ha portato al furto di 780 gigabyte di codice sorgente di videogiochi dal colosso del settore Electronic Arts (EA) ha avuto inizio, in modo apparentemente innocuo, su Slack. Secondo quanto riferito dagli hacker intervistati da Motherboard, notizia che EA avrebbe confermato, un gruppo di hacker avrebbe acquistato cookie rubati contenenti credenziali di accesso al prezzo di 10 dollari ciascuno e li avrebbe utilizzati per penetrare nei canali Slack dell’azienda.
Una volta entrati, gli aggressori si sono spacciati per un dipendente di EA — una strategia sempre più diffusa tra i criminali informatici — e hanno inviato un messaggio al reparto IT affermando di aver smarrito il proprio telefono durante una festa e di non poter quindi inserire le informazioni richieste per l’autenticazione a più fattori necessarie per accedere alla rete aziendale. Un amministratore IT ci è cascato, ha concesso l’accesso e gli hacker sono riusciti a passare alle directory dei file degli sviluppatori. Da lì, sono fuggiti portando con sé preziosi codici sorgente e strumenti relativi ai giochi: i gioielli della corona del regno di un’azienda produttrice di videogiochi.
Ormai tutti conoscono le falle di sicurezza presenti in un’altra popolare piattaforma di collaborazione, Zoom. Nel mese di aprile, la società Zoom ha accettato di versare 85 milioni di dollari a a favore dei ricorrenti che erano stati vittime di “Zoombomber” razzisti, sessisti e, in generale, maleducati. Questi malfattori hanno, in vari modi, molestato alcuni ragazzi che studiavano da casa nell’ambito della “scuola su Zoom” durante la pandemia, i fedeli di un corso di studio biblico online e alcuni asiatici-americani che si erano riuniti virtualmente per contrastare la violenza e la discriminazione.
Tali atti di molestia sono diventati così diffusi che lo “Zoombombing” costituisce ormai un reato federale . Ma non è l’unico problema di sicurezza informatica che dovrebbe preoccupare chi utilizza le piattaforme di collaborazione più diffuse. Secondo l’FBI, gli hacker stanno utilizzando video “deep fake” e altri metodi per impersonare dirigenti aziendali tramite strumenti di collaborazione, al fine di sottrarre fondi e dati aziendali.
Infatti, nonostante i notevoli progressi in materia di sicurezza registrati durante la pandemia, continuano a emergere vulnerabilità che potrebbero consentire agli hacker di compromettere segretamente i dispositivi dell’ endpoint e e sferrare attacchi zero-day potenzialmente devastanti. L’anno scorso, ad esempio, Google Project Zero ha individuato due vulnerabilità che interessavano i client Zoom e i server MMR (Multimedia Router), le quali avrebbero potuto consentire agli hacker di ottenere un accesso non autorizzato a computer e altre piattaforme e dispositivi senza che l’utente dovesse cliccare su un singolo link di phishing. Secondo quanto riferito, sono state individuate diverse vulnerabilità anche in , Microsoft, Teams, , Cisco Webex e Slack.
In che modo Slacke, Zoom, Teams e altre app di collaborazione stimolano il “video hacking”
Le vulnerabilità interessano, in misura maggiore o minore, tutte le piattaforme di comunicazione e collaborazione virtuali. E questi strumenti stanno diventando una delle prossime grandi frontiere della criminalità informatica.
«Nel 2022, i dipendenti che utilizzano strumenti di collaborazione in più sedi si troveranno sotto assedio.»Oliver Cronk, capo architetto IT per l’area EMEA, Tanium
«Gli hacker continueranno a cercare vulnerabilità legate al nuovo modello di lavoro ibrido e prevediamo che, entro il 2022 , i dipendenti che utilizzano strumenti di collaborazione in più sedi si troveranno sotto assedio», ha previsto Oliver Cronk, capo architetto IT per l’area EMEA presso Tanium, in un recente articolo pubblicato su all’indirizzo.
Le motivazioni alla base degli attacchi mirati a questi strumenti variano, ma presentano analogie con gli attacchi ai dispositivi “ endpoint ”. In molti casi, i criminali informatici, gli Stati-nazione o le spie aziendali utilizzano gli strumenti di collaborazione come vie privilegiate per accedere a dati aziendali, personali e finanziari e, potenzialmente, sottrarli. In altre situazioni, questi strumenti fungono da ulteriore canale per sferrare attacchi ransomware. I ricercatori hanno inoltre individuato prove del loro utilizzo da parte di cryptojacker per sottrarre potenza di calcolo al fine di generare bitcoin e altre valute digitali.
Gli strumenti di collaborazione offrono numerose modalità di accesso
I metodi con cui gli hacker sfruttano gli strumenti di collaborazione spesso sembrano semplici a prima vista, anche se in realtà sono sofisticati dal punto di vista tecnico. Nella maggior parte dei casi, l’obiettivo è quello di nascondere una qualche forma di malware nel codice HTML, JavaScript o del browser per compromettere un endpoint e sottrarre le credenziali degli utenti. Da lì, gli hacker possono spostarsi lateralmente all’interno delle reti per sottrarre dati e sferrare ulteriori attacchi.
A quanto pare, non è poi così difficile diffondere codice dannoso utilizzando strumenti di collaborazione. Secondo la società di sicurezza informatica Cyble, gli hacker possono facilmente acquistare credenziali Zoom a un prezzo minimo di 0,002 dollari ciascuna; a quanto pare, la società avrebbe acquistato mezzo milione di tali credenziali proprio per verificare se fossero autentiche. Gli hacker hanno probabilmente sottratto nomi utente, password, indirizzi e-mail registrati, chiavi host e URL personali delle riunioni tramite il “credential stuffing”, una tecnica con cui i criminali informatici acquistano credenziali di accesso dal dark web, per poi utilizzare dei bot per provarle una ad una su una schermata di accesso fino a quando una di esse non risulta valida.
Non sorprende che le credenziali compromesse rappresentino la modalità più comune di attacco informatico, costituendo il 20% delle violazioni, con un costo medio di 4,37 milioni di dollari, secondo il rapporto “Cost of a Data Breach Report 2021” di IBM.
«A causa del lavoro da remoto, questi strumenti rappresentano ora un vettore di attacco più facile rispetto alla posta elettronica», afferma Chuck Everette, direttore del dipartimento di sensibilizzazione sulla sicurezza informatica presso Deep Instinct, un’azienda specializzata in software di sicurezza informatica basati sull’intelligenza artificiale. «Circa il 80% degli attacchi che abbiamo riscontrato consisteva nell’intrusione e nell’impersonazione di un utente su Teams o Slack, cosa molto facile da fare.»
La sicurezza dei software di collaborazione inizia con un po’ di prevenzione
Secondo gli esperti, è impossibile impedire gli attacchi contro gli strumenti di collaborazione, proprio come accade con qualsiasi dispositivo connesso. Tuttavia, ricorrendo al buon senso è possibile limitarne la frequenza e la gravità.
Zac Warren, direttore senior per la sicurezza informatica (area EMEA) presso Tanium , afferma che le misure più importanti che un’organizzazione possa adottare consistono nell’utilizzare l’autenticazione a più fattori — una pratica che le compagnie di assicurazione contro i rischi informatici richiedono sempre più spesso ai propri clienti — nonché hardware e software all’avanguardia e costantemente aggiornati.
“A causa del lavoro da remoto, questi strumenti rappresentano ora un vettore di attacco più facile rispetto alle e-mail.”Chuck Everette, responsabile della promozione della sicurezza informatica, Deep Instinct
L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) ha aggiunto
l’autenticazione monouso al proprio elenco delle “pratiche scorrette” disponibile all’indirizzo agosto 2021. Le aziende che si affidano esclusivamente alle password anziché all’autenticazione a più fattori, afferma Warren, corrono un rischio molto maggiore di vedere compromessi i propri strumenti di collaborazione.
E i “portatili” privi di patch, non aggiornati o “compromessi”, aggiunge, sono tra gli obiettivi più allettanti per gli hacker. Se un’azienda si affida a versioni obsolete di tali strumenti di collaborazione, non beneficia dei recenti miglioramenti fondamentali in materia di sicurezza. Una gestione efficace delle patch è essenziale, soprattutto alla luce della recente ondata di attacchi ransomware e di attacchi sferrati da Stati nazionali che hanno preso di mira vulnerabilità note.
Le organizzazioni dovrebbero inoltre prestare particolare attenzione alle politiche di sicurezza informatica predefinite degli strumenti di videoconferenza e collaborazione da loro scelti. Spesso, fin dall’inizio, sono completamente open source e meno sicuri.
Warren raccomanda inoltre di adottare un approccio “zero-trust” ( ) alla gestione delle identità e degli accessi, in base al quale gli utenti non vengono automaticamente considerati affidabili solo perché sono riusciti ad accedere alla rete aziendale. Egli sostiene che le organizzazioni dovrebbero configurare i propri sistemi di videoconferenza e collaborazione in modo tale da «delineare chiaramente la distinzione tra soggetti interni ed esterni», affinché i membri interni sappiano cosa proviene dall’esterno e gli esterni non possano muoversi lateralmente all’interno dell’organizzazione.
[Leggi anche: Il futuro è senza password]
Anche Everette di Deep Instinct esorta le organizzazioni a migliorare la formazione dei dipendenti su quali aspetti prestare attenzione durante le videoconferenze e nelle sale di collaborazione virtuali. Spesso, osserva, chi presta attenzione ai segnali di phishing nelle e-mail abbassa la guardia su Teams, Slack, Zoom o Webex, poiché ritiene di essere al sicuro.
In realtà, osserva, i tentativi di phishing sono altrettanto frequenti all’interno degli strumenti di collaborazione quanto in qualsiasi altro ambiente digitale, sebbene a volte possano presentarsi in forma leggermente diversa. In alcuni casi, gli hacker riescono a introdurre malware tramite immagini GIF nelle chat video. È sufficiente che gli utenti visualizzino l’immagine affinché le loro credenziali vengano diffuse nel mondo digitale.
«Le persone non si aspettano di dover affrontare attacchi di phishing durante le videoconferenze, poiché non sono state istruite su quali segnali riconoscere», afferma Everette. «L’errore umano rappresenta il punto debole principale di qualsiasi strategia di sicurezza, e gli autori delle minacce sono pronti e in grado di sfruttare qualsiasi errore che le persone possano commettere.»
